Ещё бы добавить, что при работе с паролями лучше использовать не просто SHA-256, а именно алгоритмы с замедлением типа bcrypt или Argon2 — они реально делают подбор паролей сложнее. И соль всегда должна быть уникальной для каждого пользователя, иначе смысл теряется. Ну а для проверки целостности файлов SHA-256 всё так же в тему.